Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Diagrama de la red

Configuración del concentrador VPN 3000

Configuración del grupo

Configuración RADIUS

Configuración del servidor de Cisco Secure NT RADIUS

Configuración de una entrada para el concentrador VPN 3000

Configuración de la política de usuario desconocido para la autenticación de dominio NT

Prueba de la característica de vencimiento de contraseña de NT/RADIUS

Prueba de autenticación de RADIUS.

Autenticación de dominio NT real mediante el proxy de RADIUS para probar la característica de vencimiento de contraseña

Información Relacionada

Introducción

Este documento incluye instrucciones paso a paso sobre cómo configurar los Cisco VPN 3000 Series Concentrators para soportar la función NT Password Expiration usando el servidor RADIUS.

Consulte Función RADIUS VPN 3000 con vencimiento mediante Microsoft Internet Authentication Server para obtener más información sobre el mismo escenario con Internet Authentication Server (IAS).

Prerequisites

Requirements

- Si el servidor RADIUS y el servidor de autenticación de dominio NT están en dos equipos independientes, asegúrese de que ha establecido la conectividad IP entre los dos equipos.

- Asegúrese de que ha establecido la conectividad IP del concentrador al servidor RADIUS. Si el servidor RADIUS se dirige a la interfaz pública, no olvide abrir el puerto RADIUS en el filtro público.

- Asegúrese de que puede conectarse al concentrador desde el cliente VPN mediante la base de datos de usuario interna. Si esto no está configurado, consulte Configuración de IPSec - Cisco 3000 VPN Client a VPN 3000 Concentrator.

Nota: La función de caducidad de la contraseña no se puede utilizar con clientes VPN Web o SSL.

Componentes Utilizados

Esta configuración fue desarrollada y probada utilizando las versiones de software y hardware indicadas a continuación.

- Versión 4.7 del software del concentrador VPN 3000

- Versión 3.5 de VPN Client

- Cisco Secure para NT (CSNT) versión 3.0 Microsoft Windows 2000 Active Directory Server para autenticación de usuario

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Diagrama de la red

En este documento, se utiliza esta configuración de red:

Notas de diagrama

1. El servidor RADIUS en esta configuración está en la interfaz pública. Si este es el caso con su configuración específica, cree dos reglas en su filtro público para permitir que el tráfico RADIUS entre y salga del concentrador.

2. Esta configuración muestra el software CSNT y los Servicios de autenticación de dominio NT ejecutándose en la misma máquina. Estos elementos se pueden ejecutar en dos máquinas independientes si así lo requiere la configuración.

Configuración del concentrador VPN 3000

Configuración del grupo

1. Para configurar el grupo para que acepte los Parámetros de Vencimiento de Contraseña NT del Servidor RADIUS, vaya a Configuración > Administración de Usuario > Grupos, seleccione su grupo de la lista y haga clic en Modificar Grupo. El siguiente ejemplo muestra cómo modificar un grupo denominado "ipsecgroup".

2. Vaya a la pestaña IPSec, asegúrese de que RADIUS con vencimiento esté seleccionado para el atributo Authentication.

3. Si desea que esta función se habilite en los clientes de hardware VPN 3002, vaya a la pestaña HW Client, asegúrese de que Require Interactive Hardware Client Authentication esté habilitado y haga clic en Apply.

Configuración RADIUS

1. Para configurar la configuración del servidor RADIUS en el concentrador, vaya a Configuration > System > Servers > Authentication > Add.

2. En la pantalla Add, escriba los valores que corresponden al servidor RADIUS y haga clic en Add.

El ejemplo siguiente utiliza los valores siguientes.

Server Type: RADIUS

Authentication Server: 172.18.124.96

Server Port = 0 (for default of 1645)

Timeout = 4

Reties = 2

Server Secret = cisco123

Verify: cisco123

Configuración del servidor de Cisco Secure NT RADIUS

Configuración de una entrada para el concentrador VPN 3000

1. Inicie sesión en CSNT y haga clic en Configuración de red en el panel izquierdo. En "Clientes AAA", haga clic en Agregar entrada.

2. En la pantalla "Add AAA Client" (Agregar cliente AAA), escriba los valores adecuados para agregar el concentrador como RADIUS Client y, a continuación, haga clic en Submit + Restart.

El ejemplo siguiente utiliza los valores siguientes.

AAA Client Hostname = 133_3000_conc

AAA Client IP Address = 172.18.124.133

Key = cisco123

Authenticate using = RADIUS (Cisco VPN 3000)

Aparecerá una entrada para su concentrador 3000 en la sección "Clientes AAA".

Configuración de la política de usuario desconocido para la autenticación de dominio NT

1. Para configurar la autenticación de usuario en el servidor RADIUS como parte de la política de usuario desconocida, haga clic en Base de datos de usuario externa en el panel izquierdo y luego haga clic en el enlace Configuración de base de datos.

2. En "Configuración de base de datos de usuario externa", haga clic en Windows NT/2000.

3. En la pantalla "Database Configuration Creation" (Creación de la configuración de la base de datos), haga clic en Create New Configuration (Crear nueva configuración).

4. Cuando se le solicite, escriba un nombre para la autenticación NT/2000 y haga clic en Enviar. El siguiente ejemplo muestra el nombre "Expiración de contraseña de Radius/NT".

5. Haga clic en Configurar para configurar el nombre de dominio para la autenticación de usuario.

6. Seleccione su dominio NT en "Available Domains" (Dominios disponibles) y, a continuación, haga clic en el botón de flecha derecha para agregarlo a la "Domain List" (Lista de dominios). En "MS-CHAP Settings," asegúrese de que las opciones para Permit password changes using MS-CHAP version 1 y version 2 estén seleccionadas. Haga clic en Enviar cuando haya terminado.

7. Haga clic en Base de datos de usuario externa en el panel izquierdo y, a continuación, haga clic en el vínculo para Asignaciones de grupo de base de datos (como se muestra en este ejemplo). Debería ver una entrada para su base de datos externa configurada previamente. El siguiente ejemplo muestra una entrada para "Expiración de contraseña de RADIUS/NT", la base de datos que acabamos de configurar.

8. En la pantalla "Domain Configurations" (Configuraciones de dominio), haga clic en New configuration para agregar las configuraciones de dominio.

9. Seleccione su dominio de la lista de "Dominios detectados" y haga clic en Enviar. El siguiente ejemplo muestra un dominio llamado "JAZIB-ADS".

10. Haga clic en su nombre de dominio para configurar las asignaciones de grupo. Este ejemplo muestra el dominio "JAZIB-ADS".

11. Haga clic en Agregar asignación para definir las asignaciones de grupo.

12. En la pantalla "Crear asignación de grupo nuevo", asigne el grupo en el dominio NT a un grupo en el servidor RADIUS CSNT y, a continuación, haga clic en Enviar. El siguiente ejemplo asigna el grupo NT "Users" al grupo RADIUS "Group 1".

13. Haga clic en Base de datos de usuario externa en el panel izquierdo y, a continuación, haga clic en el vínculo Política de usuario desconocida (como se muestra en este ejemplo). Asegúrese de que la opción para Verificar las siguientes bases de datos de usuario externas esté seleccionada. Haga clic en el botón de flecha hacia la derecha para mover la base de datos externa configurada previamente de la lista "Bases de datos externas" a la lista "Bases de datos seleccionadas".

Prueba de la característica de vencimiento de contraseña de NT/RADIUS

El concentrador ofrece una función para probar la autenticación RADIUS. Para probar esta función correctamente, asegúrese de seguir estos pasos con cuidado.

Prueba de autenticación de RADIUS.

1. Vaya a Configuration > System > Servers > Authentication. Seleccione su servidor RADIUS y haga clic en Test.

2. Cuando se le solicite, escriba su nombre de usuario y contraseña de dominio NT y, a continuación, haga clic en Aceptar. El siguiente ejemplo muestra el nombre de usuario "jfrahim" configurado en el servidor de dominio NT con "cisco123" como contraseña.

3. Si la autenticación está configurada correctamente, debe recibir un mensaje que diga "Autenticación correcta".

Si recibe algún mensaje que no sea el que se muestra arriba, hay algún problema de configuración o conexión. Repita los pasos de configuración y prueba descritos en este documento para asegurarse de que todos los parámetros se hayan realizado correctamente. Compruebe también la conectividad IP entre los dispositivos.

Autenticación de dominio NT real mediante el proxy de RADIUS para probar la característica de vencimiento de contraseña

1. Si el usuario ya está definido en el servidor de dominio, modifique las propiedades para que se le pida al usuario que cambie la contraseña en el próximo inicio de sesión. Vaya a la ficha "Cuenta" del cuadro de diálogo de propiedades del usuario, seleccione la opción para El usuario debe cambiar la contraseña en el siguiente inicio de sesión y haga clic en Aceptar.

2. Inicie el cliente VPN y luego intente establecer el túnel al concentrador.

3. Durante la autenticación de usuario, se le solicitará que cambie la contraseña.

Información Relacionada

- Concentrador Cisco VPN serie 3000

- IPSec

- Cisco Secure Access Control Server para Windows

- RADIUS

- Solicitudes de Comentarios (RFC)